AWS Dogwood：给AI Agent装上“记忆”的开源治理语言

AWS Dogwood 填补了AI Agent治理中的一个关键安全空白：一个Agent调用的工具语法可能完全正确，每个工具的单独权限也合法，但调用的顺序却可能违反业务逻辑。例如，在创建发票之前就处理付款，即便每个操作本身都是允许的，这在逻辑上也是错误的。Dogwood 是AWS于2026年8月6日发布的一款专为此设计的开源治理语言（遵循Apache 2.0许可证），附带一个参考解释器，其核心能力是跨时间维度授权Agent工具调用序列，而非孤立地评估每个操作。

时序逻辑与MFOTL基础

Dogwood 建立在时序逻辑和Metric First-Order Temporal Logic (MFOTL) 之上，后者是形式数学的一个分支，能够推理事件及其在时间上的关系。MFOTL 在命题时序逻辑的基础上增加了一阶量化和度量约束（例如“在过去5分钟内”），从而能够对事件序列进行精确的运行时监控。

在 Dogwood 中，策略的决策取决于Agent在会话中操作的历史记录，而非仅取决于当前请求。策略引擎会维护一个先前工具调用及其响应的记录，然后在允许或拒绝当前调用之前，将其与该历史记录进行比对。

使用时序运算符扩展Cedar

Dogwood 扩展了 Cedar 策略语言（AWS于2023年发布的现有授权语言），通过添加一个包含会话感知条件的 temporal 块来实现。关键的时序运算符包括：

这些运算符让策略能够定义诸如“除非发票操作曾经发生过，否则禁止付款操作”，或“如果

sum_within(amount, 1h)

temporal { ... }

网关层强制（不可绕过）

时序策略在 AgentCore 网关层进行强制，这位于Agent自身代码之外。该网关会实时拦截每一次工具调用，在到达目标工具之前，根据会话的完整事件历史评估策略，然后决定允许或拒绝该调用。

由于授权决策发生在边界——即Agent无法修改的基础设施中——因此无法通过提示操纵、越狱或Agent能控制的任何代码来绕过。AWS 明确声明，策略运行在“AgentCore 网关边界，代理自身代码之外”，使其能够抵抗Agent重写自身指令的行为。策略引擎支持两种模式：LOG_ONLY（审计而不拦截）和 ENFORCE（主动拒绝）。

AWS 服务集成：Amazon Bedrock AgentCore

Dogwood 已作为时序策略集成到 Amazon Bedrock AgentCore 中，与网关速率限制功能一道于2026年8月6日发布。

Bedrock AgentCore 中目前已可用的功能：

• 时序策略 — 使用 Dogwood 的有状态规则，根据Agent的会话历史评估每次工具调用。
• 网关速率限制 — 基于每个身份的令牌吞吐量上限（基础版：100 RPM，高级版：300 RPM）。
• 策略引擎 — 您可以创建一个策略引擎，存储策略（包括标准的 Cedar 和时序的 Dogwood），并将其与Agent关联。
• 每会话预算 — 例如，通过 sum_within 实施每会话 60,000 美元的开支上限。
• 工作流排序规则 — 例如，要求审批操作必须在付款操作之前执行。
• 仅记录和强制执行模式 — 在针对真实流量切换到强制执行模式之前，先以仅记录模式运行时序策略。

Dogwood 语言及其参考实现现已在 GitHub 上以 Apache 2.0 许可证发布，与 Bedrock AgentCore 托管服务分开。